人脸识别产业法律治理研究报告-中国人工智能产业发展联盟

人脸识别产业法律治理研究报告中国人工智能产业发展联盟安全治理委员会编写单位对外经济贸易大学数字经济与法律创新研究中心中国信息通信研究院人工智能研究所百度公司前 言人脸识别技术是对静态或视频中的人脸图像进行特征提取与分类，从而用于个人身份鉴别、验证与分析的当代信息技术。作为最广泛使用的生物识别技术之一，人脸识别技术以数据为体、以人工智能算法为用、以人类自身为对象，具有不可复制性、非接触性、可扩展性、快速性、多维性等优势，目前已与安防、金融、医疗、支付、教育、文娱等行业深度融合，不但推动链接大数据与人工智能的新型产业悄然成型，而且为我国数字经济与社会发展带来了新机遇。在人脸识别产业突飞猛进的同时，人脸识别技术滥用的风险也在不断加剧，给个人、组织的合法权益保护以及国家安全带来巨大挑战。随着生成式人工智能时代的来临，人脸信息被广泛采集、分析，进而合成、生成人脸信息的崭新业态开始涌现。如何保护个人人脸信息、防范虚假信息、维护公共利益，成为人脸识别产业必须面对的重大议题。面对种种挑战，我国《个人信息保护法》将人脸识别信息作为敏感个人信息予以严格保护，并在第 62 条进一步强调了人脸识别信息的特殊性，要求有关部门针对人脸识别制定专门的个人信息保护规则、标准。《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》重点规定了滥用人脸识别的侵权责任、合同规则、诉讼程序。2023 年 8 月 8 日，国家互联网信息办公室（以下简称为“国家网信办”）公布《人脸识别技术应用安全管理规定（试行）》（征求意见稿）从更宏观的维度规定应用人脸识别技术的安全管理要求，采取了不同参与者、多种场景和细化技术标准相呼应的生态治理方法。本研究报告立基于产业生态治理的思路，强调综合“人—技术—社会”三维视角，对人脸识别技术进行整全性治理。以产业生态参与各方的角色分工为切入，将主体类型化为：作为源头活水的技术提供者、作为中心枢纽的人脸产品/服务提供者、作为最后关卡的人脸识别产品/服务使用者；从数据安全、个人信息保护、算法治理、产品质量等各维度，细化不同主体的系统性义务与责任。此外，生成合成场景是人脸识别信息的重要应用场景之一，鉴于我国对深度合成算法、生成式人工智能等采取专门立法规制，研究报告特别关注了该场景下的人脸识别治理问题。人脸识别产业的治理需要监管机构、司法机关、市场主体、行业组织、专家社群、社会公众的共同参与，本研究报告汇聚各方智慧，探索技术、法律、最佳实践、产业倡议多维一体的治理架构，希冀有裨于未来的立法、司法与执法，并为我国人脸识别产业的行稳致远贡献绵薄之力。目 录第一章人脸识别产业的生态图谱1一、人脸识别技术生态2（一）技术提供者2（二）产业实践3（三）人脸识别技术价值4二、人脸识别产品/服务生态5（一）产品/服务提供者5（二）产业实践5（三）人脸识别产品价值7三、人脸识别服务使用生态8（一）服务使用者8（二）产业实践9（三）人脸识别服务使用价值9三、人脸生成合成生态10第二章 人脸识别产业的治理经验12一、美国人脸识别的治理经验12（一）美国人脸识别治理的立法12（二）美国人脸识别治理的典型案例17二、欧盟人脸识别的治理经验21（一）欧盟人脸识别治理的立法21（二）欧盟人脸识别治理的典型案例31三、中国人脸识别的治理经验34（一）中国人脸识别治理的立法34（二）中国人脸识别治理的典型案例38第三章人脸识别产业法律治理图景38一、人脸识别产业生态治理的基本原理44二、人脸识别技术生态治理44（一）技术提供者的数据安全义务44（二）技术提供者的算法可信义务47三、人脸识别产品/服务生态治理48（一）产品/服务提供者的质量管理义务48（二）产品/服务提供者的人工监督义务49（三）产品/服务提供者的算法日志记录义务49（四）产品/服务提供者的起草技术文件的义务50四、人脸识别服务使用生态治理50（一）服务使用者的个人信息保护义务50（二）服务使用者的算法解释义务51（三）服务使用者的算法备案义务54（四）服务使用者的守门人义务55五、人脸生成合成生态治理55（一）技术提供者的训练数据来源合法义务555（二）技术提供者的训练数据质量保障义务57（三）技术提供者的数据安全义务58（四）技术提供者的算法义务58（五）产品/服务提供者的内容安全义务59（六）产品/服务提供者的内容标识义务61（七）产品/服务提供者的用户管理义务62（八）服务应用者的正当使用义务63第四章人脸识别产业最佳实践64案例一：以权威数据源为基础进行人脸识别64案例二：以最小必要原则为基础进行人脸识别65案例三：回应反诈需求进行人脸识别68案例四：以算法治理为基础进行人脸识别68案例五：以个人信息保护为基础进行人脸识别70案例六：以网络安全为基础进行人脸识别71案例七：以本地部署为基础进行人脸识别73附： 人脸识别产业治理倡议75人脸识别产业法律治理研究报告1第一章人脸识别产业的生态图谱人脸识别（Face Recognition Technology, FRT）是一种基于个体脸部特征信息的生物识别技术，其将静态图像或视频图像中检测出来的人脸图像，同已知人脸图像进行比较，找到匹配的人脸，从而用于身份验证、识别和分析。人脸识别技术所具有的不可复制性、非接触性、可扩展性、快速性，使之成为多种生物识别技术中的明珠。2014 年以来，人脸识别技术在安防、金融、医疗、支付、教育、文娱等诸多领域中实现应用落地，广泛应用于设备解锁、身份验证、上班打卡、社区、考勤、乘车、购物等诸多场景，为数字经济社会发展和人们日常生活带来了新机遇。图 1：人脸识别产业发展数据显示，2021 年中国人脸识别市场规模为 56 亿元，预计到 2024 年突破 100 亿元；年均保持 23%增速。其中，人脸识别应用最多的是安防占 54%，其次是金融占 16%，此人脸识别产业法律治理研究报告2后分别是娱乐 10%、医疗 7%、电商零售 6%、出行 3%、政务 2%、其他 2%。作为数字经济的集合，人脸识别产业是一个复杂的生态系统。基于不同的参与主体，其包括了人脸识别技术生态、人脸识别产品/服务生态和人脸识别服务应用生态。一、人脸识别技术生态（一）技术提供者人脸识别产业的技术提供者是提供包含视频人脸识别、图片人脸识别和数据库对比检验等技术的提供方。人脸识别技术主要包括人脸检测、人脸预处理、特征提取、对比识别、活体检验五大步骤，是推进服务应用的前提与关键1。目前人脸识别技术提供厂商主要包括大型互联网企业，如腾讯、阿1 参见智慧芽&罗思咨询：《人脸识别行业研究报告》，2021 年。人脸识别产业法律治理研究报告3里巴巴、百度、微软等，电子设备厂商，如华为、三星、苹果等，以及其他科技公司，如火山引擎、商汤科技、依图科技、旷视科技、格灵深瞳等。人脸识别技术的五大步骤：人脸检测作为人脸识别算法的第一步，目标是找出图像中所有人脸对应的位置。人脸预处理模块主要完成人脸图像质量的改善，包括提高图像对比度、消除噪音等。特征提取模块完成人脸特征的提取，同时如何提取稳定和有效的特征是识别系统成败的关键2。对比识别模块根据特征提取模块输出的特征向量与数据库中存储的人脸特征向量进行距离度量，阈值内最小距